Et skærmbillede af Zoom transcript funktion.
For Zoom, den rammer bare holde på kommer. Den seneste er ankomsten af en længe diskuteret, om der fjernkørsel af programkode (RCE) udnyttelse, der siges at gå i den kontroversielle lokale web server, som var blevet installeret på Mac-computere for at undgå et ekstra klik for brugerne.
Den forsker, der begyndte balladen for Zoom, Jonathan Leitschuh, sagde på Twitter på fredag, at en RCE nu eksisteret i det.
“At @zoom_us daemon (skjult web server) er nu kendt for at have en Fjernkørsel af Programkode Svaghed!”, skrev han.
“Mac-Admins: sørg for, at Zoom er op til dato, eller at dæmonen er fjernet!
“Specielt, du er sårbar, hvis du har afinstalleret Zoom-programmet fra din computer uden at dræbe ZoomOpener proces og derefter slette `~/.zoomus ” bibliotek.”
Den udnyttelse, der er indstillet til at blive håndteret CVE-2019-13567 etiket.
En twitter-bruger, viste de udnytte i aktion.
På torsdag, Apple rullet ud for en lydløs opdatering, der dræbte off Zoom ved hjælp af sin malware fjernelse infrastruktur.
Ved starten af den furore, Zoom forsvarede brug af web-server, og sagde til ZDNet i en erklæring, at det var en “legitim løsning til en dårlig oplevelse, således at vores brugere har sømløs, ét-klik-for-at-deltage i møder, der er vores vigtigste produkt forskel”.
Den følgende dag, Zoom sagde, at det ville gå tilbage til sin lokale web server støtte i en patch forberedt til tirsdag aften.
Zoom fortalte ZDNet tidligere ændring i kurset var en reaktion på feedback fra kunderne, ikke af hensyn til sikkerheden.
“Der var aldrig en fjernkørsel af programkode svaghed, der identificeres,” siger virksomheden for to dage siden.
“Zoom besluttet at fjerne den web-server, der er baseret på feedback fra sikkerhedsbranchen, og vores brugere.”
Leitschuh sagde i starten af ugen, brug af den lokale server er en væsentlig sikkerhedsrisiko, og man bør ikke kommunikere med applikationer på en sådan måde.
“Lad mig starte med at sige, at have en installeret app’ en, der kører en webserver på min lokale maskine med en helt udokumenteret API føles utroligt overfladisk til mig,” skrev han.
“For det andet, det faktum, at enhver hjemmeside, som jeg besøger, kan interagere med denne web-server som kører på min maskine er et stort rødt flag for mig som en sikkerhedsekspert.”
Relaterede Dækning
Apple opdaterer dræber Zoom web server
Zoom CEO siger selskab fejlbedømt situationen, der har rullet ind i sin tredje dag.
Zoom vender naturligvis at dræbe off Mac lokale web server
Mindre end et døgn efter opbakning sin tilgang til at komme rundt Safari begrænsninger på Mac, Zoom ‘ s lokale web server ikke er mere.
Zoom forsvarer brugen af lokale web server på Mac-computere efter security report
Lokale web server vil også sigende at geninstallere Zoom, hvis en bruger fjerner programmet, og slutter sig til et møde.
Zoom ‘ s IPO åbner ved et eye-popping $65 per aktie
Cloud enterprise video kommunikation selskab trommede store marked spænding som en Silicon Valley enhjørning, der har faktisk viste et overskud.
Zoom rapporter stærke Q1, ups outlook, tilføjer til hævelse kundebase
Zoom ‘ s IPO var varmt, og selskabets første kvartal resultater var ikke langt bagefter.
Relaterede Emner:
Sikkerhed-TV
Data Management
CXO
Datacentre